nginx 防范 ddos 最佳实践有哪些？

[markocen]

目前能想到的有 rate limit 和 limit conn，还有哪些值得推荐？

[rhwood]

nginx 能防 ddos 就见鬼了，建议不要浪费时间

[qfdk]

租 ovh 的机器

[jason19659]

换域名换 ip 就能防住了

[Showfom]

DDoS 和服务器用啥软件没鸟关系，需要在硬件层面做防火墙

[Admstor]

@Showfom 硬件防火墙也只是"门"而已...

有钱就购买电信的近端清洗,效果非常好
没钱就上 CDN,但是一般 CDN 也是有上限的
而且根据网站的设计,被人抓到你真实地址其实并不算特别困难

[Showfom]

@Admstor 做好措施以后，还真抓不到真实 IP 主要是屏蔽好发送邮件的模块，别暴露

[visonnn]

nginx 面对 DDoS 时能做的不是很多，只能对七层攻击做些处理。除了频率控制，就是就行粗略判断，抛弃非人类的流量（ UA、JS 控制跳转之类），但是误伤还是会有。
四层的攻击只能通过前置清洗机器比如上 CDN 或硬件防火墙的方式，如果被机房拔网线就还是洗洗睡吧。

借楼吐槽阿里云的黑洞策略，让 DDoS 的成本变得更低。

[azuis]

@visonnn 这也怪不得阿里云。不多出钱的话人家也不能给你白抗 D。

[xiz]

nginx 支持防 DDOS ？！你村断网了吧

[owenk]

同志，直接用第三方防护吧，DDOS 攻击是流量型攻击，在 nginx 上面做配置防 CC 还是可以的。
第三方防护推荐：
1、知道创宇抗 D 保。一个面板，既能防 DDOS 攻击、也能防 CC 攻击（目前正在用）
2、阿里云。一般的小攻击能抗，大攻击也能抗，但是得看你付费能力怎么样；

[sofs]

cc 还可以说说